🇰🇷 한글 설명
Go JOSE는 Go 언어에서 JSON Web Encryption(JWE), JSON Web Signature(JWS), JSON Web Token(JWT) 표준을 구현한 라이브러리입니다. 4.1.5 이전 버전에서는 공격자가 조작한 깊게 중첩된 JSON 배열이나 객체를 파싱할 때 Go의 스택 한계를 초과하여 스택 오버플로우가 발생하고 애플리케이션이 충돌하여 서비스 거부(DoS)가 가능합니다. 이 문제는 4.1.5 버전에서 수정되었습니다.
💡 쉬운 설명
이 라이브러리는 신뢰할 수 없는 JSON 데이터를 처리하는 프로그램이 멈추게 만들 수 있는 취약점이 있습니다. 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
Go JOSE provides an implementation of the Javascript Object Signing and Encryption set of standards in Go, including support for JSON Web Encryption (JWE), JSON Web Signature (JWS), and JSON Web Token (JWT) standards. Prior to 4.1.5, parsing attacker-controlled JSON through go-jose allows deeply nested arrays or objects to exceed Go's stack limit. The resulting stack overflow crashes the application and permits denial of service in applications that parse untrusted JSON through go-jose. This issue is fixed in version 4.1.5.
📍 영향받는 시스템
go-jose 4.1.5 이전 버전을 사용하는 Go 애플리케이션
⚔️ 공격 벡터
공격자가 깊게 중첩된 JSON 데이터를 전송하여 파싱 과정에서 스택 오버플로우를 유발
🛡️ 대응 방법
go-jose를 4.1.5 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 v4.1.5 미만이면 취약하며, v4.1.5 이상이면 패치가 적용된 상태입니다.
go list -m all 2>/dev/null | grep 'github.com/go-jose/go-jose'